Argo CD集成Keycloak(OIDC)后UI频繁自动登出问题求助

会话自动登出的核心原因是仅调整Access Token生命周期不足以维持长期会话，Argo CD依赖Keycloak的Refresh Token刷新会话，同时自身也有会话配置限制。以下是分步解决方案：

1. 调整Keycloak的Refresh Token及SSO会话设置 #

Access Token是短期凭证，Argo CD需要通过Refresh Token获取新的Access Token来维持会话。你需要在Keycloak客户端配置中修改以下参数：

• Refresh Token Lifespan：设置为你期望的会话时长（例如3600秒=1小时）
• SSO Session Idle：用户无操作后的超时时间（建议设为比Refresh Token时长略长，如3700秒）
• SSO Session Max：会话允许的最长持续时间（例如86400秒=1天）

操作路径：Keycloak控制台 → 目标Realm → 客户端 → 你的Argo CD客户端 → 「Session」标签页

2. 配置Argo CD的会话与OIDC刷新参数 #

修改Argo CD的argocd-cm ConfigMap，添加或更新以下配置项，确保与Keycloak的设置匹配：

apiVersion: v1
kind: ConfigMap
metadata:
  name: argocd-cm
  namespace: argocd
data:
  # 与Keycloak的Refresh Token Lifespan保持一致
  oidc.refresh-token-expiration: "3600"
  # Argo CD自身会话超时（秒）
  server.session.timeout: "3600"
  # 会话Cookie的最大有效期（秒）
  server.session.cookie.max-age: "3600"

更新配置后，重启Argo CD Server使变更生效：

kubectl rollout restart deployment argocd-server -n argocd

3. 验证前端会话刷新机制 #

登录Argo CD UI后，打开浏览器开发者工具（Network标签），确认是否存在定期的/api/v1/session/refresh请求。如果没有该请求：

• 检查Argo CD版本，建议升级到v2.4+的稳定版本（旧版本可能存在刷新逻辑bug）
• 确认Keycloak客户端已开启「Direct Access Grants Enabled」（虽然UI登录用授权码流，但该选项可能影响token刷新）

4. 排查反向代理/负载均衡的超时限制 #

如果Argo CD前端部署了反向代理（如Nginx）或负载均衡，需确保代理的超时设置大于会话时长：

• 例如Nginx需设置proxy_read_timeout 3600s;，避免代理提前断开连接导致会话失效

内容的提问来源于stack exchange，提问作者preethi gnanesh